Netfilter防火墙模块中的新Linux漏洞允许攻击者获得根访问权限

本地对手可能会利用Linux内核中新披露的安全漏洞，在易受攻击的系统上获得更高的权限，以执行任意代码、转义容器或引发内核恐慌。

该漏洞被追踪为CVE-2022-25636（CVSS分数：7.8），影响Linux内核版本5.4至5.6.10，是内核netfilter子组件中堆越界写入的结果。Sophos的高级威胁研究员尼克·格雷戈里（Nick Gregory）发现了这个问题。

Red Hat在2022年2月22日发布的一份公告中说：“该漏洞允许在系统上拥有用户帐户的本地攻击者访问越界内存，从而导致系统崩溃或权限升级威胁”。Debian、Oracle Linux、SUSE和Ubuntu也发布了类似的警报。

Netfilter是Linux内核提供的一个框架，支持各种与网络相关的操作，包括包过滤、网络地址转换和端口转换。

具体而言，CVE-2022-25636涉及对框架硬件卸载功能的错误处理，本地攻击者可能会将其武器化，从而导致拒绝服务（DoS）或可能执行任意代码。

“尽管在处理硬件卸载的代码中，当目标网络设备没有卸载功能（例如lo）时，这是可以实现的，因为错误是在规则创建失败之前触发的。”格雷戈里说。“此外，虽然nftables需要CAP_NET_ADMIN，但我们可以取消共享到一个新的网络名称空间中，以（通常）无特权用户的身份获得它”。

格雷戈里补充说：“这可以转化为内核[面向返回的编程]/本地权限升级，而不会有太多困难，因为其中一个写得越界的值是指向网络设备结构的指针”。